برنامه پاداش باگ‌های امنیتی

[۰۱] محدوده‌ی برنامه

دامنه‌های زیر در محدوده‌ی برنامه قرار دارند:

• iranclaud.ir — پنل اصلی و وب‌سایت بازاریابی
• iranclaud.ir/api/v1/* — درگاه REST API
• iranclaud.ir/status و iranclaud.ir/changelog و سایر مسیرهای زیرساختی متعلق به ایران‌کلاد

خارج از محدوده: دامنه‌های مشتریان، خدمات شخص ثالث (زیبال، sms.ir)، حملات DoS/فلودینگ، و حملاتی که به منابع طرف دیگر آسیب می‌رسانند.

[۰۲] سطح‌بندی شدت + پاداش

مبالغ دقیق بر اساس اثر واقعی، کیفیت گزارش و نخستین‌بودن یافته توسط تیم امنیتی تعیین می‌شود.

[۰۳] فرایند گزارش

1. گزارش رمزنگاری‌شده به security@iranclaud.ir (کلید PGP در security.txt)
2. توضیح شفاف از مسیر بازتولید، اثر و حداقل یک proof-of-concept
3. تأیید دریافت گزارش طی ۴۸ ساعت کاری
4. بررسی، اعتبارسنجی و پاسخ نهایی طی ۱۴ روز
5. پس از رفع و انتشار اصلاحیه، پرداخت پاداش و درج نام شما در دیوار افتخار (اختیاری)

[۰۴] قواعد رفتار

• فقط روی حساب‌های متعلق به خودتان آزمایش کنید — به داده‌ی سایر مشتریان دست نزنید.
• هیچ‌گونه DoS، اسپم، یا مهندسی اجتماعی علیه کارکنان مجاز نیست.
• قبل از افشای عمومی، به ما زمان رفع بدهید (افشای هماهنگ‌شده).
• اگر به داده‌ی شخص ثالث دسترسی پیدا کردید، فوراً متوقف شوید و گزارش بدهید.
• هیچ‌گونه backdoor، malware، یا تغییر دایمی روی سیستم باقی نگذارید.

[۰۵] دیوار افتخار

با تشکر از پژوهشگرانی که در امنیت ایران‌کلاد سهم داشته‌اند. این فهرست به‌زودی منتشر می‌شود — اگر می‌خواهید نامتان فهرست شود، در گزارش‌تان ذکر کنید.